Sanità, una violazione costa 7,42 milioni: l’allarme per i trial

Una violazione in sanità costa in media 7,42 milioni di dollari, il valore più alto tra tutti i settori (IBM, 2025), e i dati di un trial clinico vivono per definizione fuori dall’ospedale: distribuiti tra centri di paesi diversi, università, CRO esterne, sponsor ed enti regolatori. In questo scenario la protezione ancorata al perimetro si ferma al primo trasferimento. La resilienza che le norme chiedono si costruisce quando la cifratura resta legata al file lungo tutta la filiera.

Il costo degli attacchi e l’esposizione della ricerca clinica

I numeri sul settore sanitario lasciano poco spazio all’interpretazione. Una violazione costa in media 7,42 milioni di dollari, il valore più alto tra tutti i settori, un primato che il rapporto IBM riconosce alla sanità da più di dieci anni consecutivi (IBM Cost of a Data Breach Report 2025). Le violazioni sanitarie sono anche quelle che restano nascoste più a lungo: 279 giorni tra identificazione e contenimento, oltre cinque settimane più della media globale. Sono più di nove mesi in cui chi è entrato può muoversi senza essere visto.

In Italia il quadro è coerente. Gli attacchi alle strutture sanitarie sono cresciuti del 40% nel 2025, e in circa la metà dei casi si sono tradotti in interruzione dei servizi o esposizione dei dati dei pazienti (ACN, 2025). Sul piano globale il Rapporto Clusit 2026 conta 1.053 attacchi al settore, in crescita del 30% sull’anno precedente e cinque volte i livelli del 2020, con la quota di incidenti classificati come gravissimi raddoppiata in dodici mesi, dal 23% al 48%.

Perché i trial moltiplicano i passaggi dei dati

La ricerca clinica farmaceutica non si svolge in un luogo solo. Un trial di fase III mette insieme, di norma, decine di ricercatori distribuiti in ospedali di paesi diversi, gruppi universitari, organizzazioni di ricerca a contratto (le CRO), sponsor farmaceutici ed enti regolatori. I dati che produce sono tra i più sensibili in assoluto: dataset clinici di pazienti, che ricadono tra le categorie particolari dell’art. 9 del GDPR; risultati sperimentali con un valore economico elevato; analisi intermedie che, se sottratte o alterate prima della pubblicazione, possono compromettere la validità scientifica dello studio o alimentare frodi regolatorie.

Il punto è che questi dati circolano per progetto, non per incidente. Ogni passaggio tra un centro e l’altro, ogni condivisione con una CRO, ogni invio a un revisore esterno è un’operazione prevista dal protocollo. La superficie di esposizione coincide con il modo in cui la ricerca funziona, e non con un suo malfunzionamento.

Errori e terze parti nella cybersecurity dei trial

L’immagine comune della cybersecurity sanitaria evoca lo scenario da film: il gruppo statale con risorse illimitate che sfonda un ospedale con un exploit mai visto prima. Questi attori esistono, e nella ricerca farmaceutica lo spionaggio industriale è una minaccia concreta. Sul piano statistico, però, il problema arriva quasi sempre da dinamiche più banali.

Nel settore sanitario la componente umana è presente nel 54% delle violazioni e le terze parti nel 32% (Verizon DBIR 2026). Gli errori dello staff, come la posta inviata al destinatario sbagliato o un portatile smarrito senza cifratura, restano nella top tre delle cause da oltre un decennio. I vettori di accesso iniziale più frequenti sono vulnerabilità note lasciate senza aggiornamento, phishing e credenziali rubate o riutilizzate. Nessuno di questi richiede tecniche esotiche.

La CRO come moltiplicatore del rischio

La CRO è il moltiplicatore più evidente di questo rischio. Una società che gestisce dati per conto di decine di committenti concentra su di sé un’esposizione che poi si propaga a tutti i progetti che segue. Quando la porta d’ingresso è un fornitore, l’accesso iniziale è spesso legittimo, e proprio per questo si confonde con un uso normale fino a quando il danno è già fatto.

Protezione data-centric per i dati della ricerca clinica

Se il dato esce dal perimetro per definizione, la protezione deve viaggiare con lui. Applicato alla ricerca clinica, questo si traduce in alcuni requisiti concreti:

• cifratura applicata al file alla sua origine, così che il documento resti illeggibile se copiato su un dispositivo personale o caricato su un servizio non governato;
• accesso per ruolo e per fase del progetto: il ricercatore senior vede l’insieme, il collaboratore esterno solo i file che lo riguardano, la CRO riceve i dataset in sola visualizzazione, senza copia in chiaro;
• tracciabilità completa e verificabile di ogni apertura, con l’indicazione di chi ha aperto cosa, quando e da dove, utilizzabile come base per un’ispezione regolatoria;
• revoca dell’accesso anche verso l’esterno, con effetto immediato quando un collaboratore lascia il progetto e senza toccare il lavoro degli altri;
• integrità non alterabile delle versioni: ogni versione congelata e non modificabile a posteriori, requisito diretto della validità regolatoria dello studio.

Nessuno di questi controlli regge se impone ai ricercatori un modo di lavorare diverso da quello che già hanno. Una protezione che pretende comportamenti perfetti viene aggirata al primo momento di fretta.

Un trial multicentrico protetto oltre il perimetro

Un esempio concreto, da un progetto reale che riporto anonimizzato. Un centro di ricerca clinica collegato a un grande ospedale italiano gestiva un trial multicentrico con partecipanti in quattro paesi europei. Il team comprendeva ricercatori interni, specialisti universitari esterni e una CRO con sede all’estero. I dati viaggiavano via email e su piattaforme di condivisione consumer, fuori dal controllo dell’IT. Non esisteva un registro degli accessi, e mancava un modo per revocare l’accesso a un collaboratore che aveva lasciato il progetto con i documenti già scaricati.

Dalla cifratura alla revoca degli accessi

La richiesta del responsabile IT era diretta: che i dati fossero protetti a prescindere da come i ricercatori li condividevano.

La direzione scelta è stata quella data-centric: un archivio centralizzato con cifratura applicata al caricamento, permessi per ruolo e per fase, sola visualizzazione protetta per la CRO senza copia in chiaro, tracciamento completo degli accessi, un registro di integrità non alterabile per le versioni e la revoca con un’azione singola. Il tutto integrato nell’ambiente già in uso, senza migrazione dei documenti e senza formazione dedicata: i ricercatori hanno continuato a caricare e condividere come prima, con la protezione attiva sullo sfondo.

Il risultato: controllo dimostrabile senza cambiare il lavoro

Il risultato che conta è che la protezione ha smesso di dipendere dall’attenzione del singolo. Il canale non governato è stato eliminato alla radice, la conformità è diventata dimostrabile in caso di ispezione, e l’adozione non ha richiesto di riorganizzare il lavoro delle persone.

Norme e controllo dei dati nella ricerca clinica

Questo approccio risponde anche a una richiesta normativa precisa. Il GDPR chiede misure adeguate di sicurezza del trattamento (art. 32) e, per i dati sanitari che rientrano nelle categorie particolari (art. 9), una tutela rafforzata; nel rapporto con le CRO, che trattano dati per conto del titolare, valgono gli obblighi previsti per il responsabile del trattamento (art. 28).

La Direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, include le strutture sanitarie tra i soggetti tenuti a misure di gestione del rischio, sicurezza della catena di fornitura compresa. Sul versante della validità scientifica, il Regolamento (UE) 536/2014 sulle sperimentazioni cliniche e i principi di integrità del dato riconosciuti dalla buona pratica clinica (le regole ALCOA) chiedono che i record siano attribuibili, leggibili e non modificabili nel tempo.

Il filo che lega questi obblighi è uno solo: chiedono un controllo dimostrabile sul dato, anche quando il dato è in mano a terzi. Un controllo che si ferma al confine dell’ospedale resta indimostrabile per la parte che conta, perché la maggior parte del ciclo di vita del dato di un trial si svolge oltre quel confine.

Oltre il perimetro, la protezione segue il documento

Per anni la sicurezza in sanità è stata pensata come difesa dell’ospedale: firewall più alti e reti segmentate attorno agli edifici digitali. Il dato di un trial, però, nasce già in movimento, e attraversa organizzazioni e confini prima ancora di essere analizzato.

Finché la protezione resta una proprietà dei sistemi che lo ospitano, ogni nuovo partner aggiunto alla filiera aggiunge un punto in cui il controllo si interrompe. Quando invece appartiene al documento, il dato di un paziente resta illeggibile sul portatile smarrito come nella casella di posta sbagliata. È lì, sul contenuto, che si gioca la resilienza che le norme chiedono e che la ricerca, per restare credibile, non può affidare al perimetro.